Подпишитесь на рассылку
Получайте полезные материалы из нашего блога на свою почту. Экспертные статьи, скидки на решения, анонсы обновлений и другое.
21 октября 2026 года разработчики PHP выпустили исправления двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619. При определённых условиях они позволяют выполнить код на сервере без авторизации. PHP — серверная технология, на которой работают многие сайты и веб-приложения, включая «1С-Битрикс».
Чем это грозит сайту и бизнесу
Успешная атака может привести к доступу к данным, изменению файлов, внедрению вредоносного кода и остановке сайта — в пределах прав, с которыми работает PHP. Для интернет-магазина это означает риск сбоев в приёме заказов и потери продаж.
Само уведомление не означает, что сайт уже взломали. Но и отсутствие видимых проблем не подтверждает его защищённость: исправления нужно установить до того, как уязвимостью воспользуются.
Почему обновления «1С-Битрикс» недостаточно
Уязвимости обнаружены в PHP. Поэтому обновление сайта через SiteUpdate не заменяет обновление PHP на сервере. Временные защитные настройки также не устраняют обе уязвимости полностью.
Это касается сайтов на «1С-Битрикс: Управление сайтом» и коробочного Битрикс24. В облачном Битрикс24 серверную часть обслуживает сам провайдер — самостоятельно обновлять PHP пользователю не требуется.
Что нужно сделать владельцу сайта
Передайте задачу системному администратору, хостингу или обслуживающей компании. Попросите выполнить следующие действия:
- Проверить окружение. Определить, какая сборка PHP фактически обслуживает сайт и содержит ли она необходимые исправления.
- Подготовить обновление. Проверить резервную копию файлов, базы данных и конфигурации сервера, а также совместимость обновления с проектом.
- Установить исправления. Обновить PHP и перезапустить службы, которые его исполняют. Если серверов несколько, проверить каждый.
- Проверить результат. Подтвердить, что сайт использует исправленную сборку, протестировать авторизацию, формы, корзину, оформление заказов, оплату и интеграции.
Какие версии PHP содержат исправления
Первые исправленные выпуски для поддерживаемых веток:
- PHP 8.2 — 8.2.35;
- PHP 8.3 — 8.3.36;
- PHP 8.4 — 8.4.27;
- PHP 8.5 — 8.5.12.
Выбирать нужно совместимое обновление для вашего проекта. Поставщики могут выпускать исправленные сборки с прежним номером PHP: в таком случае специалист проверяет конкретный пакет и сведения о внесённых исправлениях. Для PHP 8.1 и старше необходимо отдельно согласовать установку исправленной сборки либо переход на поддерживаемую ветку.
Уточнение от 23 октября 2026 года. Команда PHP дополнительно рекомендовала отключить session.upload_progress.enabled до следующего исправляющего выпуска для защиты от редкого дополнительного сценария выполнения кода. Применимость этой рекомендации и настройку должен проверить администратор. Она не заменяет основные обновления.
Как поможет ВЕБ Симфония
ВЕБ Симфония готова проверить серверное окружение вашего сайта на «1С-Битрикс», подобрать совместимое обновление PHP, подготовить резервную копию, выполнить работы или согласовать их с хостингом. После обновления проверим основные функции сайта. Если обнаружится несовместимость модулей или доработок, определим необходимые изменения.
Обратитесь в ВЕБ Симфонию с запросом «Проверить и обновить PHP». Начнём с проверки окружения и определим, какие действия нужны вашему сайту
Вопросы и ответы об обновлении PHP
Сайт работает нормально. Можно пока не обновлять PHP?
Откладывать обновление PHP не стоит: уязвимость может существовать без видимых сбоев. Работающий сайт не подтверждает наличие исправлений. Попросите администратора проверить сборку PHP и установить подходящее обновление.
Я уже обновил «1С-Битрикс». Этого достаточно?
Нет, обновление «1С-Битрикс» через SiteUpdate не устраняет эти уязвимости PHP. Исправления устанавливают отдельно на сервере. Проверьте с администратором или хостингом, выполнено ли именно обновление PHP.
У меня обычный хостинг. Кто должен обновлять PHP?
На виртуальном хостинге обновление серверных пакетов обычно выполняет провайдер — уточните у поддержки, исправлена ли сборка, обслуживающая ваш сайт. Для VPS или выделенного сервера задача зависит от условий обслуживания: её выполняет администратор либо хостинг.
Какая версия PHP уже содержит исправления?
Первые исправленные выпуски — PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Поставщик может перенести исправления в пакет с прежним номером PHP. Поэтому проверять нужно конкретную сборку и сведения поставщика о закрытии CVE-2026-109618 и CVE-2026-109619.
У меня PHP 7.4 или 8.1. Нужно сразу переходить на 8.5?
Сразу переходить на PHP 8.5 не требуется. Для PHP 7.4, 8.0 и 8.1 команда PHP предоставила исправления исходного кода; готовые пакеты нужно уточнять у поставщика. Администратор подберёт исправленную сборку либо совместимую поддерживаемую ветку.
Как понять, что хостинг действительно установил обновление?
Попросите подтвердить, какая сборка PHP обслуживает сайт после обновления и какие исправления она содержит. Успешного запуска команды обновления недостаточно: нужно проверить работающие процессы PHP и основные функции сайта. На нескольких серверах проверяют каждый.
Можно поручить обновление PHP ВЕБ Симфонии?
Да, ВЕБ Симфония готова проверить серверное окружение сайта на «1С-Битрикс», подобрать совместимое обновление и выполнить работы либо согласовать их с хостингом. После обновления проверим основные функции магазина и определим, нужны ли изменения в модулях или доработках.
Материал подготовлен по состоянию на 27 октября 2026 года.